Canonical'ın LXD ve MicroCloud ürünlerinde 10 puanlı açık, saldırgan güvenilen bir istemcinin özel anahtarı olmadan onun yerine geçebiliyordu

Canonical, LXD ve MicroCloud’daki kritik bir açığı kapattığını 28 Ekim’de duyurdu ve kullanıcılarından hemen güncelleme yapmalarını istedi. CVE-2026-112816 numaralı açığın CVE kaydı 30 Ekim’de yayımlandı ve CVSS 4.0 ölçeğinde 10 puan aldı. The Hacker News’e göre MicroCloud, LXD çalıştıran birden fazla makineyi tek bir kümede birleştiriyor. Canonical’a göre açık, LXD’nin topluluk çatalı olan Incus projesinden bildirildi ve LXD’yi de etkilediği doğrulandı.

Açığın kaynağı

LXD ve MicroCloud, uzaktaki istemcilerin API’ye bağlanırken kimliklerini karşılıklı TLS (mutual TLS) ile kanıtlamasını istiyor. İstemcinin sertifikası sunucunun güven listesinde varsa istemci güvenilir sayılıyor. Canonical’a göre kimlik doğrulama kodu, istemcinin gönderdiği bütün sertifikaları güven listesiyle karşılaştırıyordu. Oysa TLS bağlantısı yalnızca zincirdeki ilk sertifikanın (leaf) özel anahtarına istemcinin sahip olduğunu kanıtlıyor. Bu yüzden saldırgan, güvenilen bir istemcinin herkese açık sertifikasını kendi sertifika zincirine ara sertifika olarak ekleyerek o istemci gibi giriş yapabiliyordu.

Canonical’a göre saldırganın bunun için LXD’nin HTTPS API’sine ulaşabilmesi ve taklit edeceği istemcinin herkese açık sertifikasına sahip olması yeterli. MicroCloud’da ise saldırgan, kümeye katılan bir sunucunun herkese açık sertifikasını katılma sırasında ele geçirip daha sonra o sunucu gibi giriş yapabiliyor. Canonical’a göre taklit edilen kullanıcının yetkisine bağlı olarak saldırgan sunucuda root erişimi elde edebiliyor. CVE kaydına göre saldırgan kümeye ve yönetilen sanal makinelere tam erişim kazanabiliyor.

Incus’un bildirisine göre aynı hata Incus’ta ilk sürümünden beri vardı. Incus’a göre sunucu sertifikaları her TLS bağlantısında zaten gönderildiği için saldırganın bunlara ulaşmak için önceden erişime ihtiyacı yok ve sunucunun kendi sertifikası zincire eklendiğinde veritabanı geçidine erişilebiliyor. Incus açığı 7.6.0 sürümünde kapattı.

Kimler etkileniyor

The Hacker News’e göre tek başına çalışan bir LXD sunucusu varsayılan olarak bu API’yi ağa açmıyor ve yalnızca yerel bir sokette dinliyor. API, yönetici core.https_address ayarıyla ağ erişimini açtığında dışarıdan ulaşılabilir oluyor. Ubuntu’nun güvenlik sayfasına göre Ubuntu arşivindeki lxd paketi listelenen Ubuntu sürümlerinde ya bulunmuyor ya da etkilenmiyor, düzeltmeler snap paketleriyle geliyor. CVE kaydındaki CISA değerlendirmesine göre 30 Ekim itibarıyla açığın saldırılarda kullanıldığı bilinmiyor.

Etkilenen ve düzeltilmiş sürümler

• LXD: 6.9, 5.21.8, 5.0.10 ve 4.0.14 etkileniyor. Düzeltilmiş sürümler 6/stable kanalında 6.10.1, 5.21/stable kanalında 5.21.9, 5.0/stable kanalında 5.0.11 ve 4.0/stable kanalında 4.0.15.
• MicroCloud: düzeltilmiş sürümler 3/stable kanalında 3.4.1 ve 2/stable kanalında 2.1.5.
• Incus: 7.6.0 öncesi sürümler etkileniyor.

Önerilen önlemler

Canonical, bütün LXD ve MicroCloud kullanıcılarının kendi kanallarındaki en güncel sürüme geçmesini istiyor. Güncelleme için sudo snap refresh lxd ve sudo snap refresh microcloud komutları kullanılıyor. Canonical’a göre düzeltilmiş LXD sürümleri duyuru sırasında aday kanaldan kararlı kanala aşamalı olarak dağıtılıyordu, bu yüzden güncellemeden sonra kurulu sürümün kontrol edilmesi gerekiyor. Canonical’ın duyurusunda geçici bir önlem yer almıyor. Incus’a göre yapılandırma ile alınabilecek bir önlem yok ve HTTPS dinleyicisine ağ erişiminin güvenilen cihazlarla sınırlanması gerekiyor.